Varios sitios web gubernamentales de Europa y otras regiones han quedado fuera de servicio este miércoles después de que se identificaran dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación más utilizados en Internet. Francia ordenó poner en mantenimiento preventivo portales públicos expuestos, mientras Estados Unidos y Japón coordinan medidas de mitigación. Los desarrolladores de PHP ya han publicado una versión corregida, y las agencias nacionales de ciberseguridad han pedido a las organizaciones que actualicen sus sistemas con urgencia o desconecten temporalmente los servicios afectados.

Entre las páginas inaccesibles se encuentra el sitio de la prefectura de Policía de París y los portales de varias prefecturas francesas. El Ministerio del Interior explicó que la decisión se tomó a petición de la Agencia Nacional de Seguridad de los Sistemas de Información, conocida como Anssi, tras detectar una vulnerabilidad crítica en un componente de software genérico y ampliamente extendido.

“A petición de la Anssi, el Ministerio del Interior ha procedido a poner en mantenimiento preventivo todos sus sitios web expuestos a una vulnerabilidad crítica de seguridad”, señaló el departamento. Sus equipos, añadió, están trabajando en la actualización de los sistemas “a la mayor brevedad”, una vez que el desarrollador puso el parche a disposición de los usuarios.

Una respuesta coordinada para limitar la exposición

La Casa Blanca informó de que está coordinándose con los operadores de redes para dar prioridad a las medidas de mitigación. El objetivo inmediato es identificar los servidores que utilizan versiones vulnerables, reducir su exposición pública y aplicar la actualización sin comprometer otros servicios esenciales. La interrupción de páginas institucionales puede afectar trámites y canales de información, pero mantenerlas accesibles mientras existe una vulnerabilidad crítica también puede abrir la puerta a intrusiones, alteraciones de contenido o accesos no autorizados.

En Japón, la primera ministra Sanae Takaichi afirmó en la red social X que, cuando resulte difícil aplicar de inmediato el parche, el cierre temporal de una página puede ser una medida eficaz para reducir el riesgo. La declaración refleja una de las decisiones más delicadas en este tipo de incidentes: equilibrar la continuidad de los servicios públicos con la necesidad de impedir que una vulnerabilidad conocida sea explotada antes de completar la corrección.

Los desarrolladores del lenguaje habían comunicado el martes el hallazgo de dos fallos graves y habían instado a los administradores a actualizar sus instalaciones tan pronto como estuviera disponible una solución. La publicación de la nueva versión reduce la incertidumbre técnica, pero no elimina por sí sola el peligro. Las organizaciones deben localizar todas las aplicaciones que incorporan PHP, comprobar qué versiones están desplegadas, instalar el parche y revisar los registros para descartar que la vulnerabilidad haya sido aprovechada antes de la actualización.

El alcance de PHP convierte el fallo en un riesgo sistémico

PHP funciona principalmente en los servidores y permite generar páginas dinámicas e interactivas. Su presencia se extiende desde pequeños sitios comerciales hasta plataformas de administración pública y sistemas de gestión de contenidos como WordPress y Drupal. Según las estimaciones citadas en el contexto del incidente, el lenguaje sostiene cerca de tres cuartas partes de los sitios web del mundo, aunque no todos utilizan las mismas versiones ni están expuestos de la misma manera.

Esa implantación masiva explica por qué un problema en el núcleo del lenguaje puede tener consecuencias simultáneas para miles de entidades. El riesgo no se limita a una empresa o a un proveedor concreto: una misma dependencia tecnológica puede repetirse en administraciones, bancos, medios de comunicación y comercios que operan con infraestructuras completamente distintas. La vulnerabilidad se convierte así en un factor común capaz de acelerar la propagación de una campaña de ataques si los sistemas no se actualizan con rapidez.

El episodio también pone de relieve una dificultad estructural de la seguridad digital: muchas organizaciones conocen sus aplicaciones visibles, pero no siempre disponen de un inventario preciso de los componentes que funcionan detrás de ellas. Una página puede parecer diferente de otra y, sin embargo, depender de la misma versión de PHP o de bibliotecas compartidas. Por eso, la respuesta exige revisar no solo los portales principales, sino también subdominios, servicios internos expuestos y aplicaciones antiguas que ya no reciben una supervisión regular.

La inteligencia artificial intervino en el descubrimiento

La BBC informó de que los fallos fueron descubiertos mediante inteligencia artificial. La empresa de ciberseguridad Wiz los describió como las vulnerabilidades más graves identificadas hasta ahora por esta tecnología. La relevancia de este dato no reside únicamente en el uso de una nueva herramienta de detección: también muestra cómo la automatización puede acelerar el hallazgo de errores en componentes fundamentales de Internet.

Sin embargo, la detección automatizada no sustituye el análisis humano. Para evaluar el impacto real de un fallo es necesario determinar qué configuraciones son vulnerables, qué permisos podrían obtener los atacantes y qué medidas reducen la exposición sin interrumpir servicios críticos. La publicación de un parche inicia esa fase operativa; no la concluye.

Las autoridades nacionales han recomendado actuar con rapidez porque el intervalo entre la divulgación de una vulnerabilidad y el desarrollo de ataques suele acortarse cuando el componente afectado está ampliamente instalado. La prioridad inmediata es actualizar PHP y las aplicaciones dependientes, restringir temporalmente el acceso cuando no sea posible hacerlo y comprobar después si los sistemas presentan indicios de compromiso. La recuperación de los sitios gubernamentales dependerá, en cada caso, de que esas verificaciones confirmen que la exposición ha quedado controlada.